认证机制：密码策略、多因素认证（MFA）、单点登录（SSO）集成

聊到ERP系统的安全，大家第一反应往往是防火墙、数据加密这些。但我个人觉得，认证机制才是真正的第一道防线。你想想看，如果连门都守不住，里面的东西再安全又有什么用？

这一章，我们就来聊聊认证机制的三个核心环节：密码策略、多因素认证（MFA）和单点登录（SSO）。这三个东西，说白了就是「怎么证明你是你」、「怎么证明你不是别人」以及「怎么让你少输几次密码」。

一、密码策略：别让用户偷懒

密码策略，听起来很简单对吧？但我在项目中遇到过太多「123456」走天下的情况了。有一次做某制造企业的ERP上线，我随手查了一下，发现财务部有3个人的密码就是「finance2020」——嗯，连年份都没改。

所以，密码策略的核心目标就一个：逼着用户设置强密码。但也不能太复杂，否则用户会写在便签纸上贴在显示器上——这我见过，真的。

1. 密码复杂度要求

我个人习惯用这样的规则：

• 长度至少8位，建议12位以上
• 必须包含大写字母、小写字母、数字、特殊字符中的至少3种
• 不能包含用户名、连续字符（如1234、abcd）
• 不能是常见弱密码（如password、admin123）

2. 密码过期与历史

这里有个坑，我踩过。以前我建议密码每30天强制更换一次，结果呢？用户开始用「password1」、「password2」这样的循环。后来我改了策略：

• 密码有效期90天，但允许用户主动更换
• 保留最近5次密码历史，禁止重复使用
• 首次登录必须强制修改初始密码

3. 登录失败锁定

我曾经见过一个案例：某公司ERP系统被暴力破解，黑客连续尝试了2万多次，最终用「admin123」登录成功。为什么？因为没有锁定机制。

建议配置：

失败次数	锁定时间	备注
5次	15分钟	普通用户
3次	30分钟	管理员账号
10次	永久锁定（需管理员解锁）	疑似攻击

二、多因素认证（MFA）：加一把锁

密码再强，也怕泄露。你想想看，如果用户的电脑中了木马，或者钓鱼邮件骗走了密码，那再复杂的密码也没用。这时候就需要MFA出场了。

MFA的核心思想是：证明你是你，需要至少两种不同的证据。通常分为三类：

• 你知道的：密码、PIN码
• 你拥有的：手机、硬件令牌、U盾
• 你本身的：指纹、人脸、虹膜

1. 常见的MFA实现方式

我在项目中用得最多的是这几种：

• TOTP（基于时间的一次性密码）：Google Authenticator、Microsoft Authenticator。每30秒变化一次，离线可用。
• SMS验证码：简单但成本高，而且有SIM卡劫持风险。我个人不太推荐作为唯一MFA方式。
• 硬件令牌：YubiKey、RSA SecurID。安全性最高，但成本也高，适合管理员和财务人员。
• 生物识别：指纹、人脸。用户体验好，但要注意隐私合规。

2. MFA的集成实现

这里给一个简单的TOTP集成思路（伪代码）：

// 1. 用户注册时生成密钥
String secret = generateRandomSecret();
// 存储到用户表，同时生成二维码供用户扫描
storeToDatabase(userId, secret);
generateQRCode(secret, userEmail);

// 2. 用户登录时验证
String userInputCode = request.getParameter("totp_code");
String expectedCode = TOTP.generate(secret, currentTime);
if (userInputCode.equals(expectedCode)) {
    // 验证通过
} else {
    // 验证失败，记录日志
}

三、单点登录（SSO）：一次登录，到处通行

大型企业通常有多个系统：ERP、CRM、OA、HR……每个系统都要登录一次，用户烦不烦？烦。而且密码多了，用户就会开始用同一个密码——安全风险反而更大。

SSO就是为了解决这个问题。它的核心是：用户只需登录一次，就能访问所有信任的系统。

1. 常见的SSO协议

协议	特点	适用场景
SAML 2.0	基于XML，企业级成熟	传统企业、SaaS应用
OAuth 2.0 / OpenID Connect	基于JSON，轻量灵活	移动端、API集成
CAS	耶鲁大学开源，简单可靠	高校、内部系统

我个人习惯用OAuth 2.0 + OpenID Connect的组合。为什么？因为SAML虽然成熟，但XML解析太笨重了，而且移动端支持不好。OAuth 2.0轻量、灵活，而且生态好。

2. SSO的集成架构

典型的SSO架构是这样的：

• 身份提供者（IdP）：负责认证用户，发放令牌。比如Azure AD、Okta、Keycloak。
• 服务提供者（SP）：各个业务系统，信任IdP的令牌。
• 令牌（Token）：包含用户身份信息，有时效性。

流程大概是：

1. 用户访问ERP系统（SP）
2. ERP发现用户未登录，重定向到IdP
3. 用户在IdP输入凭证（可能还要MFA）
4. IdP生成令牌，重定向回ERP
5. ERP验证令牌，创建本地会话

3. SSO的坑与避让

我踩过的坑，分享几个：

• 会话超时不一致：IdP的会话过期了，但ERP的本地会话还在。用户操作到一半突然跳转到登录页——体验极差。解决方案是使用「会话心跳」机制，定期检查IdP状态。
• 单点登出（SLO）：用户在一个系统登出，其他系统也要同步登出。但SLO的实现很复杂，很多系统干脆不支持。我的建议是：如果做不到完美SLO，至少让用户知道「登出后请关闭所有浏览器标签页」。
• 性能问题：每次请求都去IdP验证？那系统就废了。正确的做法是：IdP验证一次，生成令牌，ERP本地缓存会话。令牌过期后再去IdP刷新。

四、三者如何协同？

密码策略、MFA、SSO，这三者不是孤立的。我通常这样设计：

• 密码策略作为基础防线，确保弱密码不存在
• MFA作为增强防线，保护敏感操作和异常登录
• SSO作为体验优化，减少用户记忆密码的负担

举个例子：用户通过SSO登录ERP，输入密码（密码策略保证强度），如果是从新设备登录，触发MFA验证。这样既安全，又不会让用户每次都要输验证码——用户体验和安全性都兼顾了。